2021年3月，美国防部发布《国防部企业DevSecOps战略指南》等系列战略文件，提出全军应用DevSecOps的指导原则。本文对DevSecOps的定义、优势、应用原则进行了梳理，并介绍了文件中强调的软件供应链和软件工厂概念。

2021年3月，美国防部发布《国防部企业DevSecOps战略指南》及《DevSecOps基础》、《DevSecOps参考设计》等相关支撑文件，提出了国防部全面应用DevSecOps的原则，为IT能力提供方、消费者、应用开发团队和授权官方组织提供教学、最佳方案及实施和运行指南。

图 1《国防部企业DevSecOps战略指南》

美国防部首席信息官以及国防部长下属采办和维护办公室（OUSD A&S）已认识到，亟需利用新的商用途径和最佳方法来重塑美军的软件开发方法和文化。DevSecOps的优势在于，能够在整个国防部实施软件现代化，从而以较快的速度交付韧性软件能力。商用领域已广泛采用了该方法，而在多个国防部探索试点项目中，也不乏DevSecOps的成功应用案例。当前美国海军下一代指挥控制系统——海上战术指挥控制（MTC2）系统的原型化开发、信息基础设施——统一海上网络和企业服务（CANES）的应用程序迁移、以及空军联合全域指挥控制重点项目——先进作战管理系统（ABMS）指挥控制应用组件commandONE的应用开发均要求采用DevSecOps方法。

1、DevSecOps介绍

DevSecOps描绘了一种组织文化和技术方法，使组织能够缩小软件开发团队、安全团队和运行团队之间的鸿沟。通过日常协同、敏捷工作流和持续的反馈回路系列，改进工作机制。

DevSecOps通过在软件开发生命周期的每个阶段以及技术堆栈的每个层中插入安全实践和控件来构建敏捷获取的基础。该方法被认为是在确保赛博安全和指标、反馈等最高优先级的同时，实现软件现代化、技术转型和推进组织软件开发生态系统向韧性方向发展的核心支柱。

根据DevSecOps的软件生命周期特点，开发团队必须是跨职能的，覆盖历来分散的“开发”（Dev）、“赛博安全”（Sec）和“运行”（Ops）。如图2所示。

图 2实现韧性软件能力的支柱

DevSecOps带来的效益包括：

•减少新软件从确定特征到生产的平均时间；

•提高新软件版本达到可在生产环境中部署的频次；

•减少在生产部署后识别和解决问题的平均时间；

•降低因在生产中提交新软件特征而造成运行故障的概率；

•全自动化风险管理；

•较快交付软件更新和补丁，提高赛博安全性。

图 3DevSecOps独特的生命周期节点和理念

2、软件供应链与软件工厂

软件供应链是一种覆盖所有硬件、基础设施即服务（IaaS）、平台即服务（PaaS）、软件即服务（SaaS）、技术力量倍增器、工具和方法的逻辑路径，全面利用上述所有内容交付指定软件能力。软件供应链存在于业务系统、武器系统以及所有开发和部署软件的地方。

DevSecOps的理念是与软件供应链紧密结合，依附这种逻辑供应链，即一体化开发环境（IDE）、构建工具、代码库、产品库、测试软件套件及其它许多软件，共同形成DevSecOps驱动的软件工厂。

软件工厂与指定的软件供应链紧密联系在一起。软件工厂可能有多条装配线，用软件术语来说就是“管道”（pipelines）。每条管道包含并定义一整套工具、程序工作流、脚本及环境，共同生成达到生产质量的软件产品。一条软件供应链“拥有一座”软件工厂，但软件工厂本身不是一条完整的软件供应链。

软件工厂在DevSecOps生命周期的开发、构建、测试和发布与交付阶段的多项活动中利用自动化。在过程中，每个环境都将安全范围自动扩展到最大程度，使用在各类工具上运行的基础设施即代码（IaC）和配置即代码（CaC），再进行转化。软件工厂可为多个项目自动化生产软件。

图 4标准化的软件工厂结构

美国防部需要针对不同类型的软件系统开设多个软件工厂，如web应用程序或嵌入式系统，这些软件系统包括大量用于自动化测试的“硬件在回路中”（HWIL）设置。国防部还需要软件工厂覆盖不同的信息影响级（IL），从IL-2到IL-6及以上。

3、DevSecOps指南原则

采用DevSecOps、驱动生态系统的软件工厂，再结合“持续授权以运行”（cATO），使国防部采办和交付韧性软件能力的方式产生了翻天覆地的变化。DevSecOps原则包括：

•坚定地在软件工厂结构中采用敏捷性（Agile）原则及文化；

•利用零信任（ZT）和行为检测原则，在软件供应链中整体实施一体化和完整的安全方法软件工厂，使安全性得到保障；

•从构想到生产，应用一体化、自动化、持续的端到端测试和监控，并配置定义明确的控制闸；

•通过“XX即代码”的设计样式，确保基础设施不变；

•全盘采用“云智能”（Cloud-smart）和“数据智能”（data-smart）架构特色。

戴钰超译自互联网

声明：本文来自防务快讯，版权归作者所有。文章内容仅代表作者独立观点，不代表安全内参立场，转载目的在于传递更多信息。如有侵权，请联系 anquanneican@163.com。